Politique de confidentialité
Dernière mise à jour : juin 2026
1. Responsable du traitement
Le responsable du traitement de vos données personnelles est la collectivité destinataire de votre dossier d'urbanisme (commune ou EPCI). Heurekia SAS intervient en qualité de sous-traitant au sens de l'article 28 du RGPD.
Contact technique Heurekia / DPD plateforme : dpd@heurekia.com
2. Données collectées
Données de compte : nom, prénom, adresse e-mail, numéro de téléphone, commune, mot de passe (haché par bcrypt — jamais stocké en clair).
Données de dossier : adresse du projet, parcelle cadastrale, description des travaux, surface, documents joints (plans, CERFA, photos, notice), correspondances avec la mairie.
Données générées par l'analyse IA : score qualitatif et extraction structurée (dimensions, surfaces, hauteurs NGF…), empreinte SHA-256 de chaque fichier soumis à l'IA.
Données techniques : adresse IP, user-agent, horodatages de connexion (conservés 12 mois à des fins de traçabilité de sécurité — exigence CCSC Art. 4.14).
3. Finalités et base légale
| Finalité | Base légale |
|---|---|
| Gestion des demandes d'autorisation d'urbanisme | Mission d'intérêt public (art. 6-1-e RGPD) |
| Analyse automatisée des pièces déposées (vérification de complétude et de conformité PLU indicative) | Mission d'intérêt public + consentement explicite révocable du pétitionnaire (art. 6-1-a et 6-1-e) |
| Authentification et sécurité du compte | Exécution du contrat (art. 6-1-b) |
| Traçabilité des connexions (logs de sécurité) | Obligation légale (art. 6-1-c) |
| Notifications sur l'avancement des dossiers | Exécution du contrat (art. 6-1-b) |
| Mémorisation de votre état civil pour pré-remplir vos prochaines demandes (facultatif) | Consentement explicite et révocable (art. 6-1-a) |
4. Analyse automatisée par intelligence artificielle
Au moment du dépôt d'une pièce justificative, le contenu du fichier est transmis à un modèle d'IA opéré par Mistral AI SAS (entreprise française basée à Paris) afin d'évaluer sa lisibilité, sa complétude et de détecter d'éventuelles non-conformités PLU manifestes.
- Sous-traitant : Mistral AI SAS (Paris, France), lié par un Data Processing Agreement (DPA) au titre de l'article 28 du RGPD. Aucun transfert hors UE : l'inférence est réalisée en France métropolitaine.
- Aucun réentraînement : Mistral ne ré-entraîne pas ses modèles sur les données transmises par API (compte entreprise), conformément aux conditions contractuelles.
- Données transmises au modèle : contenu du fichier + zone PLU + nature des travaux + commune. Aucune donnée d'identification directe (nom, prénom, e-mail, adresse postale, numéro de parcelle complet) n'est transmise au modèle — le nom de fichier d'origine est remplacé par la rubrique métier et le numéro de parcelle est tronqué.
- Traçabilité : chaque appel est journalisé avec l'empreinte SHA-256 du fichier, le modèle utilisé et le coût, sans dupliquer le contenu du fichier.
- Décision finale humaine (art. 22 RGPD) : aucune décision juridique n'est rendue par l'IA ; un instructeur humain examine chaque dossier et chaque pièce.
- Droit d'opposition : vous pouvez refuser l'analyse IA à tout moment lors du dépôt via la case dédiée — vos pièces sont alors transmises sans aucun appel au modèle.
5. Sous-traitants
| Sous-traitant | Rôle | Localisation des données |
|---|---|---|
| OVH SAS (France) | Hébergement applicatif, base de données et sauvegardes | France — datacenters OVH (VPS + Object Storage) |
| Mistral AI SAS (France) | Analyse automatisée des pièces (modèle Pixtral Large) | France — Paris |
| Resend (USA) | Envoi d'e-mails transactionnels (activation, notifications) | UE / USA |
6. Durée de conservation
Données de compte : durée de vie du compte + 3 ans après la dernière connexion.
Dossiers d'urbanisme : 10 ans à compter de la décision (obligations légales en matière d'urbanisme).
Logs de connexion (audit_logs) : 12 mois (purge automatique).
Journal des appels IA (ai_usage_events) : conservé pour la durée du dossier, à des fins d'auditabilité.
Profil CERFA mémorisé (facultatif) : conservé tant que vous le souhaitez, chiffré et lié à votre seul compte. Supprimé dès le retrait de votre consentement (bouton « Oublier ces informations » dans « Mon profil ») et à la suppression de votre compte.
Inputs côté Mistral AI : politique de rétention contractuelle (compte entreprise, no-training), à formaliser au DPA Mistral.
7. Vos droits
Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants sur vos données :
- Droit d'accès — consulter et télécharger l'intégralité de vos données (espace « Mon profil » → « Télécharger mes données » — export JSON enrichi avec journal IA).
- Droit de rectification — corriger vos informations (espace « Mon profil »).
- Droit à l'effacement — supprimer définitivement votre compte, vos dossiers et l'ensemble des fichiers déposés (espace « Mon profil » → « Supprimer mon compte »).
- Droit à la portabilité — récupérer vos données dans un format structuré (export JSON).
- Droit d'opposition au traitement automatisé — refuser l'analyse IA des pièces au moment du dépôt (case à cocher dédiée).
- Droit à la limitation — demander la suspension d'un traitement.
- Droit à une intervention humaine (art. 22) — vous pouvez à tout moment demander à un instructeur humain de réexaminer un avis indicatif rendu par l'IA.
Pour exercer ces droits, contactez en priorité le DPD de la commune destinataire de votre dossier, ou à défaut dpd@heurekia.com. En cas de réclamation non résolue, vous pouvez saisir la CNIL (www.cnil.fr).
8. Sécurité
Vos données sont protégées par chiffrement HTTPS (TLS) en transit, hachage bcrypt des mots de passe, cookies de session sécurisés (HttpOnly, Secure, SameSite=Strict), en-têtes HTTP de sécurité (CSP stricte, HSTS, X-Frame-Options, X-Content-Type-Options) et requêtes SQL paramétrées (Drizzle ORM). Tous les accès sont journalisés. Le détail des mesures techniques figure dans la documentation de conformité accessible aux administrateurs de la plateforme.
9. Transferts hors Union Européenne
Aucun transfert de vos données hors de l'Union Européenne n'est effectué dans le cadre de l'analyse IA. L'inférence est réalisée par Mistral AI SAS sur des datacenters situés en France métropolitaine. Les articles 44 et suivants du RGPD ne sont donc pas engagés pour ce traitement.
L'hébergement applicatif et la base de données sont assurés depuis juin 2026 par OVH SAS, sur des datacenters situés en France métropolitaine — aucune donnée ne quitte le territoire français pour l'opération de la plateforme.